← Zurück zu Product Security (PSIRT)

COORDINATED VULNERABILITY DISCLOSURE (CVD)

Die Richtlinie zur Coordinated Vulnerability Disclosure (CVD) erläutert, wie Sicherheitsforschende, Kunden, Behörden und andere Meldende vermutete oder bestätigte Schwachstellen sowie Sicherheitsvorfälle an Wieland Electric melden können. Sie definiert den Geltungsbereich der Richtlinie, die verfügbaren Meldekanäle und beschreibt, wie wir gemeldete Sachverhalte bewerten, ihre Bearbeitung koordinieren und darüber kommunizieren.

Zur Meldung einer Schwachstelle nutzen Sie bitte unser Formular zur Meldung von Schwachstellen.

A.1 Einleitung 

Die Wieland Electric GmbH nimmt Hinweise auf mögliche Sicherheitslücken sowie Sicherheitsvorfälle ernst. Diese CVD-Richtlinie beschreibt, wie Sicherheitsforschende, Kunden, Behörden und andere Meldende vermutete oder ausgenutzte Schwachstellen sowie Sicherheitsvorfälle sicher und koordiniert an die Wieland Electric GmbH melden können und wie die Wieland Electric GmbH diese Meldungen bearbeitet. 

Diese Richtlinie gilt für alle Produkte mit digitalen Elementen, zugehörige digitale Dienste, welche die Wieland Electric in Verkehr bringt und die dafür von der Wieland Electric GmbH betriebene Infrastruktur. 

Die CVD-Richtlinie und die zentrale Meldewebseite werden auf Deutsch und Englisch bereitgestellt. Eingehende Meldungen werden auf Deutsch und Englisch bearbeitet. 

A.2 Wie Sie eine Schwachstelle oder einen Sicherheitsvorfall melden 

Bitte melden Sie vermutete oder ausgenutzte Schwachstellen sowie Sicherheitsvorfälle über einen der folgenden Kanäle: 

• Webformular (bevorzugt) Schwachstelle melden
• PSIRT-Funktionspostfach (psirt@wieland-electric.com)
• CSIRT-Funktionspostfach (csirt@wieland-electric.com)

A.3 Welche Informationen helfen uns 

Eine Meldung kann schneller bearbeitet werden, wenn sie möglichst viele der folgenden Informationen enthält: 

• betroffenes Produkt/Dienst/Infrastruktur, Artikelnummer, Software-/Firmwareversion, Hardwareversion, Seriennummer oder betroffene URL;
• Beschreibung der Schwachstelle beziehungsweise des Informationssicherheitsvorfalls;
• Schritte zur Reproduktion, Logs, Screenshots, eingesetzte Software-Tools und technische Rahmenbedingungen;
• Einschätzung zu Schwere, (bereits beobachteter) Ausnutzbarkeit, betroffenen Konfigurationen und Auswirkungen auf Sicherheitsziele (Vertraulichkeit, Integrität, Verfügbarkeit, funktionale Sicherheit);
• gegebenenfalls Zeitabhängigkeiten, etwa geplante Veröffentlichung oder Konferenzvortrag;
• Kontaktmöglichkeiten, etwa E-Mail-Adresse oder Telefonnummer, für Rückfragen, sofern nicht anonym gemeldet wird.

Meldende werden gebeten, bei der Erstellung von Meldungen auf den Schutz personenbezogener, vertraulicher und geschäftskritischer Informationen zu achten. Zur Analyse von Meldungen sollen ausschließlich solche Informationen übermittelt werden, die für die Reproduzierbarkeit, Bewertung und Behandlung erforderlich sind. 

Insbesondere sollen bei der Bereitstellung von Reproduktionsschritten, Logs, Bildschirmaufnahmen, Speicherauszügen (Dumps) oder sonstigen Nachweisen personenbezogene Daten sowie vertrauliche Informationen soweit möglich entfernt, anonymisiert oder geschwärzt werden. Hierzu zählen beispielsweise Namen, Benutzernamen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Kunden- und Auftragsdaten, Authentifizierungsinformationen, Zugangsdaten oder sonstige Informationen, die Rückschlüsse auf natürliche Personen oder vertrauliche Geschäftsprozesse zulassen. 

Sofern die Übermittlung bestimmter personenbezogener oder vertraulicher Informationen für die Analyse der Schwachstelle unvermeidbar ist, sollen Meldende den Umfang dieser Informationen auf das notwendige Minimum beschränken und dies in ihrer Meldung entsprechend kennzeichnen. 

Die Wieland Electric GmbH behält sich vor, eingereichte Informationen, die für die Bearbeitung der Meldung nicht erforderlich sind, zu löschen, zu anonymisieren oder bei der weiteren Bearbeitung nicht zu verwenden. 

Als valide Schwachstelle betrachten wir grundsätzlich eine Schwachstelle, die ein von der Wieland Electric GmbH vertriebenes Produkt, eine Komponente, einen Dienst oder die dafür betriebene IT-Infrastruktur betrifft. Meldungen zu öffentlich unbekannten Schwachstellen werden priorisiert. Ergebnisse automatisierter Schwachstellen-Scans ohne nachvollziehbare Dokumentation können nur eingeschränkt bewertet werden, werden aber bestmöglich geprüft. 

Als valide Informationssicherheitsvorfälle betrachten wir grundsätzlich Informationssicherheitsvorfälle, die in Zusammenhang mit einem von der Wieland Electric GmbH vertriebenen Produkt, einer Komponente, einem Dienst oder dafür betriebene IT-Infrastruktur stehen. Der Zusammenhang kann unter anderem auslösend oder betreffend sein. 

A.4 Erwartetes Verhalten der Meldenden 

Wir bitten Meldende, in gutem Glauben und verantwortungsbewusst zu handeln. Insbesondere erwarten wir: 

• Beschränkung auf die minimale Prüfung, die zur Bestätigung der Schwachstelle oder des Sicherheitsvorfalls erforderlich ist;
• keine Ausnutzung über den Nachweis hinaus, keine Persistenz, keine Seitwärtsbewegung und keine Manipulation von Daten oder Systemen;
• keine Denial-of-Service-, Spam-, Bruteforce-, Social-Engineering- oder Phishing-Angriffe;
• kein Zugriff auf, keine Speicherung von und keine Weitergabe personenbezogener oder vertraulicher Daten;
• keine öffentliche Offenlegung technischer Details vor Koordination mit der Wieland Electric GmbH, sofern dadurch Nutzer gefährdet werden könnten;
• keine Erpressung und keine Bedingung der Meldung von Zahlungen oder sonstigen Gegenleistungen;
• respektvolle Kommunikation ohne Diskriminierung, Drohungen oder Beleidigungen.

Auch wenn ein Verhalten von diesen Erwartungen abweicht, prüft die Wieland Electric GmbH die Meldung soweit möglich und erforderlich, um ihre Kunden zu schützen. 

A.5 Unsere Zusagen an Meldende

• Wir behandeln eingehende Meldungen vertraulich, soweit gesetzlich zulässig und soweit die Offenlegung nicht für Behebung, Nutzerinformation oder gesetzliche Meldungen erforderlich ist.
• Wir geben personenbezogene Daten der meldenden Person ohne ausdrückliche Zustimmung nicht an Dritte weiter, soweit keine gesetzliche Pflicht entgegensteht.
• Wir verlangen von Meldenden keine Geheimhaltungsvereinbarung (NDA) als Voraussetzung für die Bearbeitung einer Meldung.
• Wir stehen während des CVD-Prozesses als vertrauenswürdiger Kontakt zur Verfügung und nehmen Statusanfragen entgegen.

Wenn Meldende diese Richtlinie und ihre Grundsätze einhalten, wird die Wieland Electric GmbH nach eigener Entscheidung und soweit rechtlich zulässig keine Strafanzeige erstatten und keine zivilrechtlichen Ansprüche wegen der gutgläubigen Meldung verfolgen. Dies gilt nicht bei erkennbarer krimineller Absicht, Erpressung, vorsätzlicher Schädigung, unbefugter Nutzung fremder Daten, erheblicher Störung oder sonstigen rechtswidrigen Handlungen außerhalb dieser Richtlinie. 

A.6 Anonyme Meldungen 

Meldungen können über das Webformular anonym eingereicht werden. Bitte beachten Sie, dass anonyme Meldungen nur eingeschränkt bearbeitet werden können, wenn Rückfragen oder zusätzliche technische Informationen erforderlich sind. Bei komplexen Sachverhalten kann eine fehlende Rückfragemöglichkeit dazu führen, dass die Meldung nicht abschließend validiert oder verifiziert werden kann. 

A.7 Reaktionszeiten 

Für nicht anonyme Meldungen gelten die folgenden garantierten Reaktionszeiten: 

Gesetzliche Meldefristen gegenüber Behörden und ENISA bei aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfällen bleiben hiervon unberührt. 

A.8 Behebung, Nutzerinformation und koordinierte Offenlegung 

Die Wieland Electric GmbH bewertet und behandelt Meldungen risikobasiert: 

• Validierung der Meldung. Die Wieland Electric GmbH prüft, ob ein gemeldeter Sicherheitsvorfall in Zusammenhang mit oder eine gemeldete Schwachstelle in einem durch die Wieland Electric GmbH in Verkehr gebrachten Produkt, einer Dienstleistung oder dafür betriebenen Infrastruktur steht. Dafür werden betroffene Produkte, Dienstleistungen und Infrastruktur sowie deren Versionen ermittelt.
• Behandlung. Die Wieland Electric GmbH koordiniert Behebung oder Risikominderung und informiert betroffene Kunden, soweit erforderlich. Sicherheitsupdates werden während des jeweiligen Supportzeitraums grundsätzlich ohne zusätzliche Kosten bereitgestellt, soweit gesetzlich vorgeschrieben und technisch möglich getrennt von Funktionsupdates.
• Offenlegung. Die Wieland Electric GmbH legt validierte und ausnutzbare Schwachstellen grundsätzlich innerhalb von 90 Werktagen öffentlich offen, sofern die Schwachstelle nicht vor dem Inverkehrbringen des betroffenen Produkts behoben wurde. Wenn eine Behebung oder Risikominderung aus nachvollziehbaren Gründen mehr Zeit benötigt, kann die Offenlegung in enger Abstimmung mit der ENISA einmalig um bis zu 90 weiteren Werktagen verlängert werden. Weitere Verlängerungen erfolgen nur in Abstimmung mit der ENISA. Die Detailtiefe und der Zeitpunkt technischer Informationen werden so gewählt, dass Kunden geschützt werden und keine unnötigen Ausnutzungsrisiken entstehen. Betroffene Kunden können vor einer allgemeinen öffentlichen Offenlegung direkt und risikobasiert informiert werden. Nach Bereitstellung einer Behebung werden Security Advisories mit betroffenen Produkten, Schwere, Auswirkungen und Kundenmaßnahmen veröffentlicht; maschinenlesbare Formate wie CSAF werden angestrebt.

A.9 Datenschutz 

Die Wieland Electric GmbH verarbeitet personenbezogene Daten von Meldenden ausschließlich für die Bearbeitung der Schwachstellenmeldung, die Kommunikation im CVD-Prozess, die Erfüllung gesetzlicher Pflichten und gegebenenfalls für eine Anerkennung nach ausdrücklicher Einwilligung. Bitte vermeiden Sie die Übermittlung personenbezogener Daten Dritter. Details ergeben sich aus der Datenschutzerklärung der Wieland Electric GmbH.

A.10 Anerkennung 

Die Wieland Electric GmbH kann Meldende nach Abschluss eines validen CVD-Prozesses auf Wunsch mit Namen, Alias und Referenz auf einer Anerkennungsseite nennen. Eine Veröffentlichung erfolgt nur mit ausdrücklicher Zustimmung. Diese Richtlinie begründet keinen Anspruch auf eine finanzielle Vergütung oder ein Bug-Bounty-Programm.

A.11 Ende des CVD-Prozesses 

Ein CVD-Prozess gilt als abgeschlossen, wenn einer der folgenden Fälle vorliegt: 

• Die Meldung ist unbegründet oder betrifft kein Produkt/ Komponente/ Dienstleistung oder dafür betriebene Infrastruktur der Wieland Electric GmbH;
• Eine Schwachstelle in einem Produkt/einer Komponente/für die Leistungserbringung betriebene Infrastruktur wurde behoben, etwa durch einen Patch, ein Update, eine Konfigurationsänderung oder sonstige Maßnahmen, und, soweit erforderlich, offengelegt;
• Die meldende Person antwortet trotz Rückfragen mindestens 30 Tage nicht und die Meldung kann dadurch nur eingeschränkt oder nicht weiterbearbeitet werden;

Nicht anonyme Meldende werden über den Abschluss ohne schuldhaftes Zögern informiert. 

A.12 Sonstige Bestimmungen 

Alle genannten Fristen in Werktagen sind auf Basis der im Freistaat Bayern geltenden Arbeitstage zu berechnen. Werktage im Sinne dieser Richtlinie sind Montag bis Freitag mit Ausnahme der gesetzlichen Feiertage des Freistaats Bayern. Samstage, Sonntage und gesetzliche Feiertage in Bayern gelten nicht als Werktage.